Criar e gerir regras de recolha de dados personalizadas no Microsoft Defender para Ponto de Extremidade (Pré-visualização)

Este artigo mostra-lhe como criar e gerir regras de recolha de dados personalizadas no portal do Microsoft Defender.

Pré-requisitos

Certifique-se de que tem:

Desempenho e limites

• Cada regra pode capturar até 25 000 eventos por dispositivo por janela temporal de 24 horas
• Quando um dispositivo atinge o limiar, a telemetria dessa regra para até que a janela seja reposta
• Normalmente, a implementação de regras demora entre 20 minutos e 1 hora
• A coleção personalizada funciona juntamente com a configuração predefinida sem interferências

Considerações de segurança

Considere estas implicações de segurança antes de criar regras:

Custos de dados

• A recolha de dados personalizados está incluída no Microsoft Defender para Ponto de Extremidade P2
• A ingestão de dados em Microsoft Sentinel incorre em custos com base na faturação do Sentinel
• Coleção de destino para grupos de dispositivos específicos para controlar os custos

Criar regras

1. No portal Microsoft Defender, navegue para Definições> Regras dePontos FinaisRecolha>de Dados Personalizados>.

2. Para integrar a área de trabalho Microsoft Sentinel, no canto superior direito, selecione o nome Microsoft Sentinel área de trabalho.

   

3. Na página Âmbito da área de trabalho, selecione a área de trabalho.

   

   Observação

   Tem de selecionar a área de trabalho nesta fase, mesmo que já tenha uma área de trabalho Microsoft Sentinel ligada.

4. Selecione Criar regra. Na secção Informações Gerais , escreva um nome de regra e uma descrição e selecione Seguinte.

   

5. Na secção Criar regra :

   1. Selecione a tabela a partir da qual pretende recolher dados. Para obter mais informações, veja Tabelas de eventos suportadas.
   2. Selecione a ação para a qual pretende recolher dados.
   3. Adicione condições de regra para filtrar ainda mais os dados. Pode adicionar várias condições para refinar a recolha de dados. As condições da regra baseiam-se na tabela selecionada. Para obter mais informações, veja a respetiva ligação de tabela em Tabelas de eventos suportadas.

   

6. Selecione Avançar.

7. Na secção Definir âmbito da regra , selecione se pretende recolher dados de todos os dispositivos cliente aplicáveis ou de dispositivos específicos que incluam etiquetas dinâmicas. Para obter mais informações, veja Criar regras dinâmicas para dispositivos na gestão de regras de recursos.

   

   Observação

   A recolha de dados personalizada só suporta etiquetas dinâmicas.

8. Na secção Rever e concluir , reveja as definições da regra e selecione Submeter.

   

A implementação da regra nos dispositivos visados pode demorar até uma hora.

Monitorar e solucionar problemas

Depois de implementar regras de recolha de dados personalizadas, monitorize o respetivo desempenho e resolva quaisquer problemas.

Verificar a implementação de regras

Para marcar se uma regra estiver a recolher dados de um dispositivo específico, consulte as tabelas de eventos personalizadas na investigação avançada:

search in (DeviceCustomFileEvents, DeviceCustomScriptEvents, DeviceCustomNetworkEvents, DeviceCustomProcessEvents, DeviceCustomImageLoadEvents) "your_device_id"
| where DeviceId == "your_device_id"
| summarize EventCount = count() by RuleName, RuleLastModificationTime, $table
| order by RuleLastModificationTime desc

Problemas comuns e soluções

Monitorizar o desempenho das regras

• Verificar o volume de eventos: consultar tabelas de eventos personalizadas para ver quantos eventos cada regra está a recolher
• Rever status da coleção: Monitorizar se os dispositivos estão a aproximar-se do limite de 25 000 eventos por regra por dia
• Validar filtragem: certifique-se de que as regras estão a ser implementadas nos dispositivos corretos com base nas etiquetas dinâmicas

Recolher todos os eventos para teste

Para recolher todos os eventos de uma tabela específica (para testes ou monitorização abrangente):

1. Criar uma regra com a tabela pretendida
2. Selecionar todas as ações disponíveis
3. Adicione uma condição que seja sempre verdadeira, como:
   • Para eventos de rede: RemotePort not equals 0
   • Para eventos de ficheiro: FileName not equals ""
   • Para eventos de processo: ProcessCommandLine not equals ""
4. Direcionar primeiro para um pequeno grupo piloto devido ao elevado volume de dados

Gerir regras

Editar uma regra

1. Navegue para Definições> Regrasde Pontos FinaisRecolha>de Dados Personalizados>
2. Selecione a regra que pretende editar
3. Selecione Editar
4. Modificar as definições de regras conforme necessário (nome, descrição, tabela, ações, condições ou filtragem de dispositivos)
5. Selecione Submeter

As alterações têm efeito nos dispositivos visados dentro de 20 minutos a 1 hora.

Ativar ou desativar uma regra

1. Em Recolha de Dados Personalizados, selecione a regra
2. Selecione ou desmarque a caixa de verificação Ativar na descrição da regra

Quando desativa uma regra, a recolha de dados para em todos os dispositivos visados no próximo agente marcar (normalmente, dentro de minutos a 1 hora).

Eliminar uma regra

1. Em Recolha de Dados Personalizados, selecione a regra
2. Selecione Eliminar
3. Confirmar eliminação

Próximas etapas

• Descrição geral da recolha de dados personalizada: Rever as capacidades e quando utilizar a coleção personalizada
• Criar e gerir etiquetas de dispositivos e dispositivos de destino: Saiba como as etiquetas permitem a filtragem de dispositivos em escala
• Investigação avançada: consultar tabelas de eventos personalizadas no Microsoft Sentinel